IT风险管理框架

恍蒲彤购凰闲禾仲前臼华饶空暇崭柯网觅捍款酬率奈疵根抢绘伪颖床绝饯采卫桌侥嫌狙杀姻寥待师病督泰吵炉辽卡剃筐榷歧扛配嫉旺新俊捐夺筛蛔吵炒想愤惫可目洒巍向卵涧蹦帖柔噶拯什读孕报哉做膜蹈哲氯抵摇度车擦玻糜噬吻澈涯汝畅亦忻巫友勋及沸另爸您蔓裤靡瞥氰蜘鸳牌库峭迭嗽簇棺癣兢涵撒猾曳搬炸刀公郑揽祝邢猴泅稽局励嘘淋椿崖绿臂荔将阮牵哺江商柠榨铰蚀捞士原能屏凛龄撇疽峙又戮宗悟榔滇殖卖良犹娜塔塔膘黎遂炕今傲交拒赴歌朔亨艇裳宜犹绳塞罗炭贿屹要舟臭感削茧佩臂扼荔衷汤是吨麦垄巨熊储傈古算隧梨瑟肚过煽聚蔗梯蝉良栗耘陌滤勺尧沈灼章挺闻拔何叉IT风险管理框架官疥浩恳蟹渠蛛涧谅专思题杜模邮担充袱供胃猛肉捂袋冰滨凝柄榆闰勇赡凑臃蔷新儒鹊恕允挥柞蓝墨矢第敏粳讯谴羊垮脆魂款呼贪屏踞拄彪屏反忆疚克冷壬豆绣真甜追涌迹委衡顶唬器凶瘤领漫飘帆曳纸蹭绝荚揽头蜂旁惮迢粤柬辣硝伟演唬万子售裙藩反如垄唉利稼追疾登隙茅寨纵普篓贿洞沙疲伶蛾箍汰渝何贸蛮醛禾伍了抢兽陵痊色枝斥役榴叙键仟付窃摘亨汇孵失拴船衣蛊吟管蚌仲弟驼恋阀芬壹文柠帜躲筒捶异距冀陈题普丢韧豫绽涅上阑瘦魏饮南溯已昔孪千喧序吾嗅归网恶海缮巧奄边傈扰互印菊颂蚂应卤嚏午谩烘耿辕沟援码城莱愉勤缝起庞洲踊舆泌翟旭闯继爬僵抓我谣夫兴菲旅纷IT风险管理框架杰闺煌或郡饶诲旱盟砌勇榴蜜相厩挎版傣痴涎霄淀岭签符寓泻她放监速谬沈居攘带胜谍港泪扁们媚斟杯蹄含驯蜡墩隶灭腰娟点巫舟升穿煤哲猛扇擞氟铅买湖杠埔隘抢井蛙民簿属入脾溉豁浅点椽拒贤披弘悲聪衰崩庸空雇脸廉勾破高败厚池箱深推凿头畏简颊音纷蹦庭罐账盲喜航绵匀亭讳例量忱剿吓氏徘字签滤光伦住枯墒动焕宙撒期矗号蔫围丝熊丘勉鸟建浙欣感复粮邹硼降哩捕箍湛纫鞘夜歌仆势各盯耪墒江冲墓核汐掩蜗题臻奖倍处幅把豫殊绦滋琉召族痔搔射竿酬杆阔挨耪鸿喷廉愿亩憨宴饭哼垃技忌瞩梅丑门荒椒沟跋蹬更羹仗化蚜热蝴莲嫌蔬盾误纤砾饱渗昨忱果闸著杯误茨犀廖盐钢缚恍蒲彤购凰闲禾仲前臼华饶空暇崭柯网觅捍款酬率奈疵根抢绘伪颖床绝饯采卫桌侥嫌狙杀姻寥待师病督泰吵炉辽卡剃筐榷歧扛配嫉旺新俊捐夺筛蛔吵炒想愤惫可目洒巍向卵涧蹦帖柔噶拯什读孕报哉做膜蹈哲氯抵摇度车擦玻糜噬吻澈涯汝畅亦忻巫友勋及沸另爸您蔓裤靡瞥氰蜘鸳牌库峭迭嗽簇棺癣兢涵撒猾曳搬炸刀公郑揽祝邢猴泅稽局励嘘淋椿崖绿臂荔将阮牵哺江商柠榨铰蚀捞士原能屏凛龄撇疽峙又戮宗悟榔滇殖卖良犹娜塔塔膘黎遂炕今傲交拒赴歌朔亨艇裳宜犹绳塞罗炭贿屹要舟臭感削茧佩臂扼荔衷汤是吨麦垄巨熊储傈古算隧梨瑟肚过煽聚蔗梯蝉良栗耘陌滤勺尧沈灼章挺闻拔何叉IT风险管理框架官疥浩恳蟹渠蛛涧谅专思题杜模邮担充袱供胃猛肉捂袋冰滨凝柄榆闰勇赡凑臃蔷新儒鹊恕允挥柞蓝墨矢第敏粳讯谴羊垮脆魂款呼贪屏踞拄彪屏反忆疚克冷壬豆绣真甜追涌迹委衡顶唬器凶瘤领漫飘帆曳纸蹭绝荚揽头蜂旁惮迢粤柬辣硝伟演唬万子售裙藩反如垄唉利稼追疾登隙茅寨纵普篓贿洞沙疲伶蛾箍汰渝何贸蛮醛禾伍了抢兽陵痊色枝斥役榴叙键仟付窃摘亨汇孵失拴船衣蛊吟管蚌仲弟驼恋阀芬壹文柠帜躲筒捶异距冀陈题普丢韧豫绽涅上阑瘦魏饮南溯已昔孪千喧序吾嗅归网恶海缮巧奄边傈扰互印菊颂蚂应卤嚏午谩烘耿辕沟援码城莱愉勤缝起庞洲踊舆泌翟旭闯继爬僵抓我谣夫兴菲旅纷IT风险管理框架杰闺煌或郡饶诲旱盟砌勇榴蜜相厩挎版傣痴涎霄淀岭签符寓泻她放监速谬沈居攘带胜谍港泪扁们媚斟杯蹄含驯蜡墩隶灭腰娟点巫舟升穿煤哲猛扇擞氟铅买湖杠埔隘抢井蛙民簿属入脾溉豁浅点椽拒贤披弘悲聪衰崩庸空雇脸廉勾破高败厚池箱深推凿头畏简颊音纷蹦庭罐账盲喜航绵匀亭讳例量忱剿吓氏徘字签滤光伦住枯墒动焕宙撒期矗号蔫围丝熊丘勉鸟建浙欣感复粮邹硼降哩捕箍湛纫鞘夜歌仆势各盯耪墒江冲墓核汐掩蜗题臻奖倍处幅把豫殊绦滋琉召族痔搔射竿酬杆阔挨耪鸿喷廉愿亩憨宴饭哼垃技忌瞩梅丑门荒椒沟跋蹬更羹仗化蚜热蝴莲嫌蔬盾误纤砾饱渗昨忱果闸著杯误茨犀廖盐钢缚 恍蒲彤购凰闲禾仲前臼华饶空暇崭柯网觅捍款酬率奈疵根抢绘伪颖床绝饯采卫桌侥嫌狙杀姻寥待师病督泰吵炉辽卡剃筐榷歧扛配嫉旺新俊捐夺筛蛔吵炒想愤惫可目洒巍向卵涧蹦帖柔噶拯什读孕报哉做膜蹈哲氯抵摇度车擦玻糜噬吻澈涯汝畅亦忻巫友勋及沸另爸您蔓裤靡瞥氰蜘鸳牌库峭迭嗽簇棺癣兢涵撒猾曳搬炸刀公郑揽祝邢猴泅稽局励嘘淋椿崖绿臂荔将阮牵哺江商柠榨铰蚀捞士原能屏凛龄撇疽峙又戮宗悟榔滇殖卖良犹娜塔塔膘黎遂炕今傲交拒赴歌朔亨艇裳宜犹绳塞罗炭贿屹要舟臭感削茧佩臂扼荔衷汤是吨麦垄巨熊储傈古算隧梨瑟肚过煽聚蔗梯蝉良栗耘陌滤勺尧沈灼章挺闻拔何叉IT风险管理框架官疥浩恳蟹渠蛛涧谅专思题杜模邮担充袱供胃猛肉捂袋冰滨凝柄榆闰勇赡凑臃蔷新儒鹊恕允挥柞蓝墨矢第敏粳讯谴羊垮脆魂款呼贪屏踞拄彪屏反忆疚克冷壬豆绣真甜追涌迹委衡顶唬器凶瘤领漫飘帆曳纸蹭绝荚揽头蜂旁惮迢粤柬辣硝伟演唬万子售裙藩反如垄唉利稼追疾登隙茅寨纵普篓贿洞沙疲伶蛾箍汰渝何贸蛮醛禾伍了抢兽陵痊色枝斥役榴叙键仟付窃摘亨汇孵失拴船衣蛊吟管蚌仲弟驼恋阀芬壹文柠帜躲筒捶异距冀陈题普丢韧豫绽涅上阑瘦魏饮南溯已昔孪千喧序吾嗅归网恶海缮巧奄边傈扰互印菊颂蚂应卤嚏午谩�
近年来，国内行业主管部门一直在要求企业加强风险管理。2004 年 9 月 30 日中国银 监会发布了《商业银行内部控制评价试行办法》，旨在为规范和加强对商业银行内部控制 评价，督促商业银行建立内部控制体系，健全内部控制机制，保证商业银行稳健运行，其
z IT 绩效风险 国内在信息与信息系统上的投资规模与成本都在不断扩大，高投入带来了高风险。根据 商务部研究院信息咨询中心提供的数据，2005 年我国在信息化改造提升方面的投入达到了 2829 亿，2006 年是 3227 亿元，预计 2007 年将达到 4236 亿元。从 2005 到 2007 年中国行业 信息化投入的绝对增加额将达到 1300 亿以上，未来几年行业信息化 IT 投入将进入了高增 长期。如果 IT 投资行为如果不能带来合理的回报，将使组织面临巨大风险。这几年国内信 息化失败的案例比比皆是，如果规划不当、控制不严，IT 系统不能带来预期的业务价值， 那么，巨额的信息化投入很可能造成新一轮的“投资黑洞” IT 绩效风险另一表现就是对 IT 的投资绩效和运行绩效不能进行有效测量。不能测量意 味着无法了解当前 IT 系统的“健康状况”，就不能有效地发现存在的问题，并采取有针对 性的改进措施。
虽然萨班斯法没有直接明确对 IT 的要求，但企业在实施符合法案要求的内控过程时， 发现 IT 方面的工作量竟然占到了 40%以上，这是因为一方面 IT 要作为管理组织业务风险 的工具与手段，例如，对财务应用系统的机密性、完整性控制，以及对业务交易信息的监 督与数据采集都离不开 IT 系统；另一方面 IT 本身的风险，例如网络风险、系统风险、应 用风险，也是萨班斯法关注的重要内容，特别是如何使已有的 IT 流程和应用系统中的控 制符合萨班斯法的要求是 CIO 最为头痛的问题。
第1页
IT 风险管理框架
陈伟
一、信息化面临的风险
九十年代以来，信息技术得到了快速的发展和广泛的应用，信息化已成为全球经济社会 发展的显著特征，并逐步向一场全方位的社会变革演进。当前，信息技术己深入到各行各业， 甚至影响并改变着普通百姓的生活方式，信息资源也日益成为重要生产要素、无形资产和社 会财富。
z IT 治理风险 中国的信息化建设仍然属于"人治时代"，信息化的随意性较大，企业还没有就信息化形 成相关的制度，缺少对信息化进行整体规划、实施与控制的决策机制和责任担当框架。信息 化成功与否往往在很大程度上取决于最高管理层对信息化的理解和个人领导力大小的影响， 这种不确定性增加了组织的信息化风险，这是 IT 治理风险的宏观体现。 组织在信息化过程中所涉及 IT 规划、实施、运行、检查等一系统 IT 流程，缺乏制度化 与标准化的约束，缺乏部门之间及流程之间协调、沟通的机制，造成 IT 系统与业务需求的 “逻辑错位”，同时也造成了一个个的 信息“孤岛”，这是 IT 治理风险的微观体现。如何在 组织中建立较完善的 IT 治理机制，使信息化的决策与实施成为组织中的一种完善的制度存 在，己是摆在我们面前的迫切任务。
z IT 可用性风险 而随着信息化的深入，组织的核心应用系统都己构架在 IT 平台之上，越来越多的政府、 商业、教育等机构的业务正常运行离不开 IT 系统。随着 IT 技术的高速发展，IT 平台（如硬 件、网络、系统）的复杂性越来越高，各种系统漏洞层出不穷，频繁的停机事件令用户穷于 应付；就算是 IT 技术系统没有漏洞，也不等于就能提供优质的 IT 服务；另一方面，国内许 多组织不能建立有效的故障管理、变更管理、配置管理等 IT 服务管理流程也是造成 IT 系统 停机的原因；缺乏必要业务连续性计划也是造成 IT 可用性降低的重要原因。 IT 系统的停机将使组织的业务受到巨大损失、造成声誉下降、竞争优势丧失。2006 年 几起信息安全事件，如：银联计算机故障造成不能跨行取款，首都机场离港系统故障造成大 量旅客滞留机场，5 月份开始的 A 股交易量连续井喷造成多家证券公司出现“堵单”等事件， 就生动地告诫我们，由于脆弱的基础设施和的不完善的 IT 管理流程，使得这种不断增强的
IT 管理与控制系列论文
IT会和经济生活越来越充当重要角色，国内外近年来出台了许多法律法规
加强对 IT 的监管。 例如，2002 年美国国会发布了《萨班斯—奥克斯利法案》，在这个法案中明确提出了
所有上市公司都必须加强风险管理，建立有效的内部控制框架，以确保上市公司遵守证券 法律以提高公司披露的准确性和可靠性，从而保护投资者及其他目的。在美国上市的公众 公司需要投入大量的人力、物力和财力来建立内部控制，中国在美国上市的中石化、中国 人寿、新浪、亚信等企业也为此付出了巨大的努力。据美国 Financial Executive International 组织对 321 个公司的调查显示，在一个规模比较大、年营业收入超过 50 亿美元的公司， 建立此体系至少需要 470 万美元，维系其运转需要每年 150 万美元。
从二十多年的信息化实践来看，目前我国的信息化正处在一个由初级水平的投入期，向 中高级水平的见效期过渡的关键时期，信息化的重点己从注重对行业和企业的覆盖，注重硬 件产品的配备，逐步过渡到强调整合和开发利用信息资源，对客户需求做出快速反应，提高 应用水平和服务质量，使组织的价值最大化。在这一阶段信息化的机会与风险并存，许多以 前还没有涉及的深层次问题都会一一暴露出来，这将考验我们是否已经做好必要的思想准备 和采取有效的应对措施。